Укажите адрес сайта, и через минуту у вас будет отчёт: что на сайте держится на иностранных сервисах, какие требования закона нарушены и какой штраф за это грозит, можно ли подделать письмо от имени компании и что исправить в первую очередь. Каждый вывод подкреплён доказательством: DNS-записью, заголовком ответа, цитатой из политики, адресом скрипта.

Suveren в основном смотрит то же, что любой посетитель: публичные DNS-записи, открытые реестры и страницы сайта. Никакого сканирования портов, подбора паролей и поиска открытых .git или .env. Что именно каждая проверка делает с сайтом и чем рискуете вы, сказано ниже.

_{На картинках — выдуманные сайты в зарезервированной зоне .test: это данные настоящих проверок, в которых имена, адреса и IP заменены, чтобы не показывать чужие компании.}

Что проверяет

Всего около 70 проверок и база из 300 с лишним сервисов, у каждой постоянный ID — их список в docs/checks.md. Находки из разных разделов собираются в сценарии атак: например, «почту можно подделать» + «на сайте есть оплата» = фишинг от имени компании.

Кому пригодится: владельцам бизнеса и ИТ-директорам, веб-студиям для аудита сайтов клиентов, юристам и ответственным за персональные данные, отделам закупок для проверки контрагентов.

Что Suveren делает с сайтом

У каждой проверки две метки (они есть в docs/checks.md и в suveren checks ID): что она делает с сайтом и чем рискует тот, кто её запускает.

Проверки почты, реестр блокировок и журналы сертификатов к сайту не обращаются, но любой scan всё равно открывает главную страницу: из неё собираются иностранные сервисы. --dns ru ведёт DNS-запросы через Яндекс DNS, но это касается только DNS: имя сайта всё равно уходит в журналы сертификатов (crt.sh, Cert Spotter, при проверке поддоменов) и в rdap.org, а IP-адреса — в Team Cymru (США).

Как запустить

Windows: двойной клик

Скачайте Suveren.exe со страницы Releases и запустите. Python не нужен. Windows может предупредить о неизвестном издателе: нажмите «Подробнее» → «Выполнить в любом случае». Exe собирается из этого кода на GitHub Actions.

Откроется меню — командную строку знать не нужно:

Из исходного кода то же меню открывает Suveren.bat: скачайте репозиторий (Code → Download ZIP), распакуйте и запустите батник. При первом запуске он сам установит всё нужное (нужен Python 3.11+).

Любая система

pip install "suveren[browser]"
suveren scan example.ru

Docker

docker build -t suveren https://github.com/marsilid/suveren.git
docker run --rm -v "$PWD:/work" suveren scan example.ru

Отчёт

Отчёт сохраняется в папку reports/ и сам открывается в браузере. Сверху — оценки, сумма возможных штрафов и что сделать в первую очередь; под каждой проблемой — доказательство, статья закона и как исправить.

Раздел 152-ФЗ: каждая проверка со ссылкой на статью закона и возможным штрафом.

Команды

Главные параметры scan:

Полный список — suveren scan --help, подробности по каждой проверке — в руководстве.

Проверка компании

suveren company 7707083893      # по ИНН
suveren company 1027700132195   # по ОГРН
suveren company example.ru      # ИНН будет найден на сайте

Данные из ЕГРЮЛ (статус, дата регистрации, руководитель), проверка компании и руководителя по санкционным спискам США, ЕС, Великобритании и ООН, перечень Росфинмониторинга, реестр операторов ПДн и сверка с сайтом. Совпадения по ИНН и ОГРН точные, по названию и ФИО — возможные, их нужно проверить вручную.

Много сайтов сразу

Для веб-студий: файл со списком сайтов, по одному в строке.

suveren batch sites.txt --browser

В reports/batch-… появятся сводная таблица index.html, summary.csv для Excel и отчёт по каждому сайту.

Для CI

suveren scan example.ru --no-open --sarif suveren.sarif --fail-on fail

Находку, с которой решили жить, можно принять в файле .suveren-ignore: ID, сайт, срок, автор и причина в строке. Она остаётся в отчёте, но не валит CI, а после срока снова считается.

SARIF читают GitHub и GitLab code scanning и DefectDojo. Коды выхода, формат JSON и плагины со своими проверками описаны в руководстве и docs/plugins.md.

Источники данных

Все источники открытые и бесплатные, ключи API не нужны: DNS, Team Cymru (сети IP-адресов), RDAP и WHOIS, ЕГРЮЛ (ФНС), реестр операторов ПДн РКН, выгрузка реестра блокировок от antifilter.download, журналы сертификатов (crt.sh, Cert Spotter), санкционные списки OFAC, ЕС, Великобритании и ООН, перечень Росфинмониторинга, база уязвимых библиотек retire.js, списки адресов облаков AWS, Google Cloud, Oracle и DigitalOcean. suveren doctor проверяет, что все они отвечают; на GitHub эта проверка идёт каждый день.

Ограничения

• Отчёт помогает расставить приоритеты и не является юридическим заключением. У каждой проверки 152-ФЗ указана статья закона со ссылкой на текст, чтобы вывод можно было перепроверить.
• Проверяются главная и до 6 внутренних страниц (--pages). Сервисы, которые есть только на остальных страницах, в отчёт могут не попасть.
• Если сайт закрыт от роботов даже в браузере, проверки по коду страницы получают статус «не проверено», а не ложное «в порядке».
• Если сайт за CDN, настоящий хостинг скрыт — Suveren об этом предупреждает.

Участие

Чтобы добавить сервис в базу, программировать не нужно: это файл данных services.json — как его заполнить, написано в руководстве. Можно и просто открыть issue «Добавить сервис». О найденных уязвимостях — по правилам из SECURITY.md.

pip install -e ".[dev,browser]"
pytest
ruff check . && ruff format --check .

Тесты не ходят в сеть: ответы реестров и фрагменты списков лежат в tests/fixtures.

Лицензия

Copyright © 2026 marsilid. Начиная с версии 1.1 — GNU AGPL-3.0 или более поздняя: код открыт, и любая изменённая версия, в том числе работающая как сервис, тоже должна быть открыта. Для закрытых продуктов и SaaS есть коммерческая лицензия — подробности в COPYRIGHT. Версии до 1.0.x были опубликованы под MIT и остаются под ней.

Связанный проект: ReconLens — пассивная OSINT-разведка домена с оценкой безопасности.